リストとして適用された複数のファイアウォールフィルターについて
このトピックでは、次の情報について説明します。
課題: 大規模なファイアウォールフィルター管理の簡素化
通常は、単一の ファイアウォールフィルター を入力または出力方向、あるいはその両方のインターフェイスに適用します。ただし、このアプローチは、デバイスが多くのインターフェイスで設定されている場合、実用的ではない可能性があります。大規模な環境では、影響を受けるすべてのインターフェイスのフィルターを再設定することなく、複数のインターフェイスに共通するフィルタリング項目を変更できる柔軟性が必要です。
一般的に、解決策は、複数のファイアウォールフィルターの効果的な「連鎖」構造を単一のインターフェイスに適用することです。フィルタリング用語を複数のファイアウォールフィルターに分割し、それぞれがフィルタリングタスクを実行します。次に、特定のインターフェイスに対して実行するフィルタリングタスクを選択し、そのインターフェイスにフィルタリングタスクを適用できます。この方法では、フィルタリングタスクの設定は単一のファイアウォールフィルターでのみ管理できます。複数のインターフェイスで共有されるフィルタリング用語を変更する必要がある場合、変更する必要があるのは、それらの用語を含む1つのファイアウォールフィルターのみです。
Junos OS ポリシー フレームワークには、個々のルーター インターフェイスに対する複数の個別のファイアウォール フィルターの適用を管理する 2 つのオプションがあります。1 つのオプションは、複数のフィルターを 1 つの入力リストまたは出力リストとして適用することです。もう1つのオプションは、別のファイアウォールフィルターの条件内からファイアウォールフィルターを参照することです。このオプションは、PTX10003 ルーターではサポートされていません。
ソリューション: ファイアウォールフィルターのリストを適用する
複数のファイアウォールフィルターに共通する重複したフィルタリング条件を設定しないようにする最も簡単な方法は、複数のファイアウォールフィルターを設定し、カスタマイズしたフィルター のリスト を各インターフェイスに適用することです。Junos OSは、フィルターを(リストに表示されている順序で)使用して、インターフェイスを通過するパケットを評価します。
フィルター リスト用の複数フィルターの構成
各ルーター インターフェイスの一意のリストで適用されるようにファイアウォール フィルターを構成するには、次のように共有パケットフィルタリングルールをインターフェイス固有のパケットフィルタリングルールから分離する必要があります。
Unique filters—特定のインターフェイスに固有のパケットフィルタリングルールのセットごとに、そのインターフェイスのフィルタリング条件のみを含む個別のファイアウォールフィルターを設定します。
Shared filters- 2つ以上のインターフェイスに共通するパケットフィルタリングルールのセットごとに、共有フィルタリング条件を含む個別のファイアウォールフィルターを設定することを検討してください。
ヒント:フィルタ リストを使用して多数のファイアウォール フィルタを適用することを計画している場合、管理者は多くの場合、フィルタリング条件、顧客がサブスクライブするサービス、またはインターフェイスの目的によって共有フィルタを整理します。
ルーター インターフェイスへのフィルター リストの適用
ファイアウォールフィルターのリストをインターフェイスに適用するには、そのインターフェイスのパケットフィルタリング要件を満たすフィルターを選択します。各インターフェースについて、filter
・スタンザ内に input-list
ステートメントまたは output-list
・ステートメント(あるいはその両方)を組み込んで、関連するフィルターを使用される順序で指定できます。
インターフェイスに関連する共通のフィルタリング用語を含むフィルターを含めます。
インターフェイスに固有のフィルタリング用語のみを含むフィルターを含めます。
フィルタ リストのインターフェイス固有の名前
フィルタ リストはインターフェイスの下に設定されるため、結果として連結されたフィルタは インターフェイス固有になります。
フィルタ リストがインターフェイスの下に構成されている場合、フィルタ リスト内のファイアウォール フィルターがインターフェイス固有として構成されているかどうかに関係なく、結果として連結されたフィルターはインターフェイス固有になります。さらに、インターフェイス固有のファイアウォールフィルターをインスタンス化することで、ファイアウォールフィルターカウンターの個別のインスタンスが作成されるだけでなく、ポリサーアクションの個別のインスタンスも作成されます。ファイアウォールフィルター設定で指定されたアクションを通じて適用されるポリサーは、インターフェイスグループ内の各インターフェイスに個別に適用されます。
インターフェイス固有フィルターのシステム生成名は、完全なインターフェイス名と、その後に入力フィルター リストの場合は '-i
'、出力フィルター リストの場合は '-o
' で構成されます。
Input filter list nameたとえば、
input-list
ステートメントを使用して一連のフィルターを 論理インターフェイスge-1/3/0.0
に適用すると、Junos OSはフィルターに次の名前を 使用します。ge-1/3/0.0-inet-i
Output filter list nameたとえば、
output-list
ステートメントを使用して一連のフィルターを論理インターフェイスfe-0/1/2.0
に適用すると、Junos OSはフィルターに次の名前を 使用します。fe-0/1/2.0-inet-o
Junos OS Evolvedの場合、フィルター名はJunos OSに似ています。例えば、フィルターが inet ファミリーにバインドされている場合、フィルターの名前は ge-1/3/0/0-inet-i および fe-0/1/2.0-inet-o になります。
ファイアウォールフィルター名を指定するJunos OS 動作モードコマンド を入力すると、フィルターリストのインターフェイス固有の名前を使用できます。
一致した用語に終了アクションまたは次の用語アクションが含まれている場合のフィルター リストによるパケットの評価方法
デバイスは、終了アクションが発生するか、パケットが暗黙的に廃棄されるまで、リスト内の最初のフィルターから順次、リスト内のフィルターに対してパケットを評価します。
表 1 一致した用語が終了アクションと next term
アクションを指定しているかどうかに基づいて、ファイアウォール フィルタ リストがパケットを評価する方法について説明します。next term
アクションは、終了アクションでも非終了アクションでもなく、フロー 制御アクションです。
一致条件に含まれるファイアウォールフィルターアクション |
用語の説明 |
パケットフィルタリングの動作 |
|
---|---|---|---|
終了 |
次学期 |
||
◯ |
— |
一致した用語には、終了アクション( |
デバイスは終了アクションを実行します。フィルタ内の後続の項およびリスト内の後続のフィルタは、パケットの評価に使用されます。 |
— |
◯ |
一致した用語には |
デバイスは非終了アクションを実行し、フィルター内の次の項またはリスト内の次のフィルターに対してパケットを評価します。 注:
Junos OS Evolved では、 はアクションの最終項として表示することは |
— |
— |
一致した用語には、 |
デバイスは非終了アクションを実行し、その後デバイスは暗黙的にパケットを受け入れます。 |
アクションの終了の詳細については、「 ファイアウォールフィルター終了アクション」を参照してください。
同じファイアウォールフィルター条件内で、 next term
アクションと終了アクションを設定することはできません。
プロトコル非依存フィルターと IP ファイアウォール フィルターがリストに含まれている場合のフィルター リストによるパケットの評価方法
プロトコル非依存(family any
)ファイアウォールフィルターとプロトコル固有(family inet
または family inet6
)ファイアウォールフィルターに同時に関連付けられた単一のインターフェイスでは、プロトコル非依存型ファイアウォールフィルターが最初に実行されます。
最初のフィルターの終了アクションによって、2 番目のフィルターでもパケットを評価するかどうかが決まります。
-
最初のフィルターが
accept
アクションを実行して終了した場合、2 番目のフィルターはパケットを評価しません。 最初のフィルターがパケットに一致する条件なしで終了した場合( 暗黙的な
discard
アクション)、2番目のフィルターもパケットを評価します。最初のフィルターが 明示的な
discard
アクションを実行して終了した場合、2 番目のフィルターはパケットを評価しません。
PTX10003 ルーターは、フィルター リスト内のプロトコル非依存フィルターと他のフィルターの組み合わせをサポートしていません。